ดีแทค ประกาศความพร้อมรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในวันที่ 1 มิถุนายนนี้ เผยเตรียมความพร้อมมากว่า 2 ปี โดยเริ่มพัฒนานโยบายความเป็นส่วนตัว ออกแนวปฏิบัติ และบังคับใช้ภายในองค์กร ตามแนวทางของกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปหรือ GDPR และ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล 2562 (PDPA) ของไทย ด้วยเส้นทางจากการพัฒนาแนวนโยบายสู่หลักปฏิบัติ ผ่านการออกแบบกระบวนการทำงาน การเก็บ ใช้ และเปิดเผยข้อมูล ตอกย้ำคุณค่าองค์กรด้านธรรมาภิบาลและหลักสิทธิมนุษยชนที่เป็นวัฒนธรรมขององค์กร ชี้พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) เป็นหมุดหมายสำคัญนำพาประเทศสู่สังคมดิจิทัลอย่างยั่งยืน
จากหลักการรักษาสิทธิมนุษยชนสู่นโยบายการคุ้มครองข้อมูลส่วนบุคคล
นายสตีเฟ่น เจมส์ แฮลวิก รักษาการรองประธานเจ้าหน้าที่บริหาร กลุ่มกิจการองค์กร บริษัท โทเทิ่ล แอ็คเซ็ส คอมมูนิเคชั่น จำกัด (มหาชน) หรือดีแทค กล่าวว่า “ดีแทคมีจุดยืนในการทำธุรกิจอย่างมีความรับผิดชอบ ด้วยหลักการรักษาสิทธิมนุษยชน ดีแทคในฐานะผู้ให้บริการโทรคมนาคม มีหน้าที่สำคัญในการเคารพในหลักความเป็นส่วนตัว (Privacy) และเสรีภาพในการแสดงออกสำคัญ (Freedom of Expression) เราจึงปฏิบัติและดำเนินงานอย่างเคร่งครัด โดยพัฒนากระบวนการการทำงาน และความท้าทายต่างๆ กับผู้มีส่วนเกี่ยวข้องอย่างสม่ำเสมอ การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของไทยหรือ PDPA ถือเป็นหมุดหมายสำคัญของประเทศไทยในการคุ้มครองสิทธิขั้นพื้นฐานด้านการปกป้องความเป็นส่วนตัวและความมั่นคงทางข้อมูลของผู้บริโภค ซึ่งดีแทคสนับสนุนและยินดีปฏิบัติตามอย่างยิ่งเพื่อประโยชน์ของผู้บริโภค ธุรกิจ และสังคมส่วนรวม”
“ความเชื่อมั่นลูกค้าถือเป็นหัวใจสำคัญในการดำเนินกิจการของดีแทค โดยเฉพาะเมื่อเข้าสู่ยุคแห่งความก้าวหน้าทางเทคโนโลยี เช่น AI (ปัญญาประดิษฐ์) IoT (อินเทอร์เน็ตสรรพสิ่ง) และ 5G จะทำให้เกิดและต้องการใช้ข้อมูลจำนวนมหาศาลในการส่งมอบคุณค่าลูกค้า ดังนั้น ความโปร่งใสจึงเป็นปัจจัยสำคัญที่ทำให้ความเชื่อมั่นเกิดขึ้น” นายสตีเฟ่น กล่าว
สังคมดิจิทัลนำมาซึ่งโอกาสทางเศรษฐกิจและสังคมอย่างมาก แต่ขณะเดียวกัน การใช้ข้อมูลจำต้องคำนึงถึงสิทธิผู้บริโภคตามกฎหมายเป็นสำคัญ ดังนั้น ความเป็นส่วนตัวลูกค้า (Privacy) ถือเป็นสิ่งที่ดีแทคให้ความสำคัญสูงสุดในการพัฒนาสินค้าและบริการของเรา นอกจากนี้ ยังถือเป็นการตอกย้ำซึ่งหลักการด้านสิทธิมนุษยชนและธรรมาภิบาลที่ดีแทคมุ่งส่งเสริมผ่านบริการเชื่อมต่อที่ปลอดภัย ทั่วถึงและเท่าเทียม ดูข้อมูล ดีแทคกับการดำเนินธุรกิจอย่างมีความรับผิดชอบ ได้ที่ https://www.dtac.co.th/sustainability/th/rb
จากนโยบายสู่แนวปฏิบัติและวัฒนธรรมองค์กร
ดีแทคพัฒนาสินค้าและบริการโดยยึดหลักความเป็นส่วนตัวเป็นสำคัญ (Privacy by design) เพื่อส่งมอบบริการที่ตอบโจทย์ ปลอดภัย และคำนึงถึงประโยชน์สูงสุดของลูกค้าไม่ว่าพนักงานจะทำงานจากที่ใดก็ตาม
ดีแทคมีกระบวนการจัดการกับข้อมูลตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล คือ
- เก็บรวบรวม จัดเก็บข้อมูลที่เป็นประโยชน์และจำเป็นต่อการให้บริการ ทั้งข้อมูลที่ระบุตัวตน ทางตรง และข้อมูลที่ระบุตัวตนทางอ้อม
- ใช้ มีการใช้ข้อมูลตรงตามวัตถุประสงค์ที่แจ้ง เพื่อนำเสนอสิทธิประโยชน์สินค้าและบริการที่ตรงกับ ความต้องการ เพื่อให้ลูกค้าได้รับประโยชน์สูงสุด
- เปิดเผย เพื่อให้เป็นไปตามหลักเกณฑ์และเงื่อนไขการดูแลคุ้มครองข้อมูลตามที่กฏหมายกำหนด
กระบวนการดังกล่าวอยู่ภายใต้หลักธรรมาภิบาล และขั้นตอนการบริหารจัดการ ดังนี้
- การทำงานเชิงรุก (Proactive approach) ดีแทคมีการวางแนวทางในการใช้ข้อมูลลูกค้าเพื่อให้เป็นไปตามเจตจำนงค์ตามที่ลูกค้าได้อนุญาตผ่าน Privacy Checkpoint ซึ่งเป็นโครงสร้างการทำงานเพื่อควบคุมและลดความเสี่ยงอันเกิดจากการละเมิดความเป็นส่วนตัวของลูกค้าโดยตั้งใจหรือไม่ตั้งใจ โดยผู้แสดงความจำนงค์ต้องการใช้ข้อมูลลูกค้า (ตัวอย่างเช่น ทีมพัฒนาแอปพลิเคชัน ทีมบริหารคุณค่าลูกค้า ระเบียบการปฎิบัติการในส่วนต่างๆ) จะต้องแจ้งความจำนงค์มายังเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Privacy Officer: DPO) ของบริษัทเพื่อพิจารณาถึงวัตถุประสงค์ตามกฎหมาย (Legal basis) และความจำเป็น (Necessity and Proportionality) ของการใช้ข้อมูล นอกจากนี้ ยังต้องมีการประเมินความปลอดภัยข้อมูลทางด้านเทคนิค ซึ่งกำกับโดยทีมเทคโนโลยี จากนั้น จะเข้าสู่กระบวนการพิจารณาและอนุมัติโดยคณะกรรมการ การประเมินผลกระทบด้านการคุ้มครองส่วนบุคคล (DPIA) ของบริษัท
นอกจากนี้ ยังได้กำหนดโครงสร้างการทำงานของ DPO ให้เป็นอิสระ สามารถรายงานการทำงานแก้คณะผู้บริหาร (Management Committee) ได้โดยตรง เพื่อให้ความคิดเห็นของ DPO คงไว้ซึ่งหลักการความเป็นส่วนตัวและหลีกเลี่ยงผลกระทบจากปัจจัยภายนอกที่มีอิทธิพลต่อความคิดเห็นของ DPO
- การตรวจสอบ (Investigative approach) เพื่อลดความเสี่ยงการละเมิดความเป็นส่วนตัวของข้อมูล พนักงานด่านหน้าที่มีเกี่ยวข้องกับข้อมูลลูกค้าจะต้องมีการทำประเมินอย่างสม่ำเสมอ จากนั้นส่งผลการประเมินมายัง DPO นอกจากนี้ ยังมีการตรวจสอบรายไตรมาส (Audit) จากทั้งคณะกรรมการภายในและภายนอก เพื่อให้มั่นใจว่ามีการปรับใช้นโยบายสู่แนวปฏิบัติอย่างถูกต้อง
- การแก้ไข (Corrective action) เมื่อตรวจสอบพบการละเมิดความเป็นส่วนตัวของข้อมูล DPOมีหน้าที่ในการ ประสานงานผู้เกี่ยวข้อง เพื่อระงับ จัดการประเมิน ความเสียหาย กำหนดแนวทางการแก้ไข รวมถึงถ้าเหตุละเมิดดังกล่าวมีผลกระทบต่อเจ้าของข้อมูล จะต้องมีการแจ้งให้สำนักงานคณะกรรมการข้อมูลส่วนบุคคลรับทราบและแก้ไข